CVE-2024-31884
ŚrednieStreszczenie
W Ceph znaleziono lukę, która pozwala atakującemu na zaakceptowanie dowolnego certyfikatu, ponieważ kontekst certyfikatu nie jest przekazywany do konstruktorów imaplib.IMAP4_SSL lub smtplib.SMTP_SSL. W rezultacie, pybind nie sprawdza certyfikatu X.509 serwera, akceptując każdy certyfikat.
Ocena ryzyka
Organizacja narażona jest na ataki typu man-in-the-middle, co może prowadzić do przechwycenia danych lub nieautoryzowanego dostępu do systemów. Brak weryfikacji certyfikatów stwarza poważne zagrożenie dla integralności komunikacji.
Rekomendacja
Zaleca się aktualizację Ceph do najnowszej wersji, która naprawia tę lukę oraz wdrożenie dodatkowych mechanizmów weryfikacji certyfikatów w komunikacji SSL/TLS.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in Ceph. An attacker can allow Ceph to accept any certificate because no certificate context is passed via Pybind to the constructors imaplib.IMAP4_SSL or smtplib.SMTP_SSL. As a result, pybind pybind does not check the server's X.509 certificate, instead accepting any certificate. T